Thu hồi Token: khi Access Token đã phát hành không thể gọi lại

Access token tự chứa (self-contained, JWT ký sẵn) vẫn hợp lệ tới khi hết hạn dù server có muốn thu hồi ngay; muốn "đăng xuất mọi nơi" phải chọn giữa access token sống ngắn kèm refresh token có thể revoke, hoặc một danh sách/version kiểm tra ở mọi resource server.